Version 2026-07-19-1
Datenschutzerklärung
Stand / Version: 2026-07-19-1
1. Verantwortlicher
Verantwortlicher i. S. d. Art. 4 Nr. 7 DSGVO: Christian Holdenried, handelnd unter „Holdenried Gruppe”, Jahnstraße 87, 70771 Leinfelden-Echterdingen, Telefon 0711 27340036, kontakt@h-ried.com. Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich.
2. Rollen: Anbieter und Nutzer als Verantwortliche
Für die von Ihnen als Kontoinhaber (Investor) erfassten Daten Dritter — insbesondere Mieterdaten (im Mieter-Portal), Daten von Handwerkern oder weiteren Beteiligten — sind Sie der datenschutzrechtlich Verantwortliche; der Anbieter verarbeitet diese Daten in Ihrem Auftrag, um Ihnen die Funktionen bereitzustellen. Für den Betrieb des Dienstes selbst (Ihr Konto, Abrechnung, Sicherheit) ist der Anbieter Verantwortlicher.
3. Welche Daten wir wozu verarbeiten
| Datenart | Zweck | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|
| Kontodaten (E-Mail, verschlüsseltes Passwort via Firebase Auth) | Login, Kontoverwaltung | Art. 6 Abs. 1 b | bis Kontolöschung |
| Objekt-/Mietverwaltungsdaten (Gebäude, Einheiten, Mietverhältnisse, Zahlungen, Darlehen) | Kernfunktion | Art. 6 Abs. 1 b | bis Löschung durch Nutzer |
| Personen-Stammdaten (Namen, Kontakt, IBAN; ggf. steuerrelevante Angaben zu Kindern) | Verwaltung, Steuervorbereitung | Art. 6 Abs. 1 b, ggf. c | bis Löschung / gesetzl. Fristen |
| Besondere Kategorien (z. B. Pflegegrad, Behinderung/Merkzeichen), soweit vom Nutzer eingegeben | Steuervorbereitung im Auftrag des Nutzers | Art. 9 Abs. 2 (i. V. m. Einwilligung/Auftrag des Nutzers) | bis Löschung |
| Hochgeladene Dokumente/Belege (PDF, Bilder) | Dokumentenverwaltung, Belegerkennung | Art. 6 Abs. 1 b | bis Löschung durch Nutzer |
| Bankzugangsdaten (FinTS-PIN, AES-256-GCM verschlüsselt) | Kontoumsatz-Abgleich | Art. 6 Abs. 1 b (auf Veranlassung) | bis Entfernung durch Nutzer |
| E-Mail-Postfach-Zugang (SMTP-App-Passwort, verschlüsselt) | Versand eigener Mieter-/Ticket-Mails über Ihr Postfach | Art. 6 Abs. 1 b | bis Entfernung durch Nutzer |
| Abrechnungsdaten (Tarif, Zahlungen via Stripe) | Vertrags-/Zahlungsabwicklung | Art. 6 Abs. 1 b, c | gesetzl. Aufbewahrung |
| Nutzungs-/Analyse-Ereignisse (First-Party, s. Ziff. 6) | Produktverbesserung, Reichweitenmessung | Art. 6 Abs. 1 f | ca. 400 Tage |
| Server-Logs (IP, Zeit, Ressource) | sicherer Betrieb | Art. 6 Abs. 1 f | kurzzeitig |
4. Künstliche Intelligenz / Belegerkennung
Für die automatische Auswertung hochgeladener Belege und Dokumente setzt der Dienst Sprachmodelle externer Anbieter ein — derzeit Anthropic (Claude) und Google (Gemini). Die betreffenden Dateien werden zu diesem Zweck an den jeweiligen Dienst übermittelt und dort zur Extraktion verarbeitet. Dabei kann eine Übermittlung in ein Drittland (USA) erfolgen; diese wird auf die EU-Standardvertragsklauseln bzw. das EU-U.S. Data Privacy Framework gestützt. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 b); eine ausschließlich automatisierte Entscheidung nach Art. 22 DSGVO findet nicht statt.
5. Empfänger / Auftragsverarbeiter
Wir setzen sorgfältig ausgewählte Dienstleister ein (Auftragsverarbeitung nach Art. 28 DSGVO, soweit einschlägig):
- Google / Firebase (Google Ireland Ltd.) — Hosting (Cloud Run), Datenbank (Firestore), Authentifizierung, Dateispeicher.
- Anthropic und Google (Gemini) — KI-Belegerkennung (s. Ziff. 4), ggf. Drittland USA.
- Stripe Payments Europe Ltd. — Zahlungsabwicklung kostenpflichtiger Tarife.
- Resend (über den zentralen Maildienst „mailflow”) — Versand von Konto-/Lifecycle-Mails.
- LetterXpress / A&O Fischer GmbH & Co. KG, Maybachstraße 9, 21423 Winsen (Luhe) — nur soweit Sie den Postversand (z. B. Nebenkostenabrechnung) nutzen.
- Bank-Schnittstelle (FinTS) — Kontoumsatz-Abruf über einen selbst betriebenen Dienst; es wird kein externer Konto-Aggregator eingeschaltet.
Eine Weitergabe an Dritte zu Werbezwecken findet nicht statt.
6. Analyse / Reichweitenmessung (First-Party)
Der Dienst erfasst zur Produktverbesserung eigene Nutzungsereignisse (z. B. Seitenaufruf, genutzte Funktion, Anmeldung) in der eigenen Datenbank. Gespeichert werden nur technische Kennungen und auf zulässige Werte begrenzte Eigenschaften — kein Freitext, keine Kontaktdaten. Rechtsgrundlage ist das berechtigte Interesse an einem funktionierenden, verbesserten Dienst (Art. 6 Abs. 1 f).
Wir setzen keine Tracking- oder Marketing-Tools von Drittanbietern ein (insbesondere kein Google Analytics, kein Tag Manager, kein Plausible/Matomo, keine Meta-Pixel) und laden hierfür keinerlei fremde Skripte oder Pixel. Es findet kein kanalübergreifendes Tracking und keine Profilbildung zu Werbezwecken statt.
Um zu verstehen, wie unsere öffentlichen Seiten und unsere Live-Demo genutzt werden, führen wir eine eigene, cookielose Reichweiten- und Funnel-Messung durch. Erfasst werden dabei ausschließlich nicht-personenbezogene Merkmale: aufgerufener Seitenpfad, Verweisquelle (nur die Domain des Referrers) und ggf. UTM-Kampagnenparameter, ungefähres Herkunftsland, eine grobe Geräteklasse (Desktop/Mobil) sowie Verweildauer und Absprungpunkt. Eine Wiedererkennung innerhalb eines Tages erfolgt allein über einen täglich wechselnden, nicht umkehrbaren Prüfwert (Hash), der aus einer gekürzten IP-Adresse (letztes Adressblock entfernt), der Browserkennung und einem geheimen Tageswert berechnet wird. Ihre vollständige IP-Adresse wird dabei nicht gespeichert, es werden keine Cookies gesetzt und es entsteht kein dauerhaftes Nutzerprofil und kein Fingerprint über den Tag hinaus. Angemeldete Nutzer (Kunden) sowie erkennbare Suchmaschinen-/KI-Crawler werden von dieser Messung ausgenommen.
Weil die Messung cookielos und ohne Zugriff auf Endgeräte-Informationen erfolgt und keine personenbezogenen Profile bildet, ist hierfür keine Einwilligung (kein Cookie-Banner) erforderlich; Rechtsgrundlage ist unser berechtigtes Interesse an einer datensparsamen Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO). Die Roh-Ereignisse dieser Reichweiten-/ Funnel-Messung werden nach 90 Tagen automatisch gelöscht; erhalten bleiben lediglich aggregierte, nicht personenbeziehbare Tages-Kennzahlen (z. B. Besucher- und Seitenaufrufzahlen), die keinen Rückschluss auf einzelne Personen erlauben.
7. E-Mail-Kommunikation
Konto- und Transaktionsmails senden wir zur Vertragserfüllung. Lifecycle-/Informationsmails werden über den zentralen Maildienst „mailflow” (via Resend) nur an Kontoinhaber versendet; jede solche Mail enthält einen Abmeldelink (Unsubscribe), Impressum und Abmelde-Header werden strukturell ergänzt. Mieter-/Ticket-Mails versenden Sie als Kontoinhaber über Ihr eigenes E-Mail-Postfach (SMTP); insoweit sind Sie Versender.
8. Cookies / lokale Speicherung
Technisch notwendige Speicher (z. B. Session/Login) werden ohne Einwilligung genutzt (§ 25 Abs. 2 TDDDG). Nicht notwendige Tools werden nur nach Einwilligung eingesetzt (§ 25 Abs. 1 TDDDG).
9. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht, eine Einwilligung jederzeit zu widerrufen. Es besteht ein Beschwerderecht bei einer Aufsichtsbehörde (zuständig: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg).
Änderungslog
- 2026-07-18-1 (2026-07-18): Erstfassung. Verarbeitungen, KI-Dienste (Anthropic/Google), Empfänger (Firebase, Stripe, Resend/mailflow, LetterXpress, FinTS), First-Party-Analytics (#179) gemäß realer Implementierung. Hinweis auf mögliche Art-9-Daten und Auftragsverarbeiter- Rolle gegenüber dem Kontoinhaber. Noch nicht anwaltlich geprüft.